Eseguire il push e il pull delle immagini

Questa pagina descrive il push e il pull delle immagini dei container con Docker. Fornisce inoltre informazioni sul pull delle immagini con lo strumento crictl se stai risolvendo problemi in Google Kubernetes Engine.

Per informazioni sul deployment negli ambienti di runtime Trusted Cloud by S3NS , vedi Eseguire il deployment in Trusted Cloud.

Per istruzioni su come elencare, taggare ed eliminare le immagini, consulta Gestione delle immagini.

Prima di iniziare

1. Se il repository di destinazione non esiste, creane uno nuovo.
2. Devi disporre almeno dell'accesso di scrittura di Artifact Registry al repository.
3. Installa Docker se non è già installato.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per eseguire il push e il pull delle immagini, chiedi all'amministratore di concederti i seguenti ruoli IAM nel repository:

• Estrai immagini: Lettore Artifact Registry (roles/artifactregistry.reader)
• Tagga ed esegui il push delle immagini: Artifact Registry Writer (roles/artifactregistry.writer)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Autenticazione in un repository

Devi autenticarti nei repository ogni volta che utilizzi Docker o un altro client di terze parti con un repository Docker. Questa sezione fornisce un breve riepilogo di ciò che ti servirà per eseguire l'autenticazione. Per istruzioni dettagliate, vedi Configurazione dell'autenticazione per Docker.

Utilizzo di un helper delle credenziali

Per l'assistente per le credenziali gcloud CLI o l'assistente per le credenziali autonomo, gli host Artifact Registry utilizzati devono essere presenti nel file di configurazione Docker.

Artifact Registry non aggiunge automaticamente gli host del registro al file di configurazione Docker, pertanto dovrai aggiungere il tuo al file.

Esegui l'helper delle credenziali per aggiungere l'host. Ad esempio, il seguente comando aggiunge u-france-east1-docker.s3nsregistry.fr.

• Assistente per le credenziali gcloud CLI:

  gcloud auth configure-docker u-france-east1-docker.s3nsregistry.fr
  

• Assistente per le credenziali autonome

  docker-credential-gcr configure-docker u-france-east1-docker.s3nsregistry.fr
  

Utilizzo di un token di accesso

Per l'autenticazione con token di accesso, genera un token e utilizzalo come password con il comando docker login. I token sono validi per 60 minuti, quindi devi eseguire l'autenticazione poco prima di taggare, eseguire il push o il pull delle immagini.

L'esempio seguente genera un token di accesso utilizzando l'impersonificazione account di servizio e poi esegue l'autenticazione in Artifact Registry. Per generare un token in questo modo, devi disporre delle autorizzazioni nel ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

gcloud auth print-access-token \
  --impersonate-service-account  ACCOUNT | docker login \
  -u oauth2accesstoken \
  --password-stdin https://LOCATION-docker.s3nsregistry.fr

gcloud auth print-access-token \
--impersonate-service-account  ACCOUNT

ya29.8QEQIfY_...

docker login -u oauth2accesstoken -p "ya29.8QEQIfY_..." \
https://LOCATION-docker.s3nsregistry.fr

Se non disponi delle autorizzazioni per rappresentare un account di servizio, puoi attivare ilaccount di serviziot nella sessionegcloud CLId e poi ottenere un token. Per maggiori dettagli, consulta le istruzioni per configurare l'autenticazione con token di accesso.

Utilizzo di una chiave del account di servizio

Per una chiave account di servizio, utilizzi la chiave come password con il comando docker login.

Ad esempio, il seguente comando utilizza la chiave dell'account di servizio codificata in base64 nel file key.json per l'autenticazione a u-france-east1-docker.s3nsregistry.fr.

cat key.json | docker login -u _json_key_base64 --password-stdin \
https://u-france-east1-docker.s3nsregistry.fr

docker login -u _json_key_base64 --password-stdin https://u-france-east1-docker.s3nsregistry.fr < key.json

Per maggiori dettagli, consulta le istruzioni per configurare l'autenticazione della chiave dell'account di servizio.

Push di un'immagine

Modalità repository: standard

Per eseguire il push di un'immagine locale in un repository Docker standard, contrassegnala con il nome del repository ed esegui il push dell'immagine.

Se nel repository Docker di Artifact Registry è abilitata l'immutabilità dei tag, un tag deve sempre fare riferimento allo stesso digest immagine nel repository. Non puoi utilizzare il tag su un'altra versione della stessa immagine di cui esegui il push nel repository. Per ulteriori informazioni su digest, tag e immutabilità dei tag delle immagini, consulta Versioni delle immagini container.

Per le immagini di grandi dimensioni si applicano i seguenti limiti:

Tempo di caricamento

Se esegui l'autenticazione in Artifact Registry utilizzando un token di accesso, il token è valido solo per 60 minuti. Se prevedi che il tempo di caricamento supererà i 60 minuti, utilizza un metodo di autenticazione diverso.

Dimensioni dell'immagine

La dimensione massima dell'artefatto è 5 TB.

Artifact Registry non supporta i caricamenti a blocchi Docker. Alcuni strumenti supportano il caricamento di immagini di grandi dimensioni tramite caricamenti a blocchi o un singolo caricamento monolitico. Devi utilizzare caricamenti monolitici per eseguire il push delle immagini in Artifact Registry.

Tagging dell'immagine locale

1. Assicurati di aver eseguito l'autenticazione nel repository.

2. Determina il nome dell'immagine. Il formato di un nome completo dell'immagine è:

   LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE
   

   Sostituisci i seguenti valori:

   • LOCATION è la posizione regionale del repository in cui è archiviata l'immagine.
   • PROJECT-ID è l'ID progetto della console Trusted Cloud .
   • REPOSITORY è il nome del repository in cui è archiviata l'immagine.
   • IMAGE è il nome dell'immagine. Può essere diverso dal nome locale dell'immagine.

   Ad esempio, considera un'immagine con le seguenti caratteristiche:

   • Posizione del repository: u-france-east1
   • Nome repository: my-repo
   • ID progetto: my-project
   • Nome dell'immagine locale: my-image
   • Nome immagine target: test-image

   Il nome dell'immagine per questo esempio è:

   u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/test-image
   

   Per informazioni dettagliate sul formato del nome dell'immagine, consulta Nomi di repository e immagini.

3. Tagga l'immagine locale con il nome del repository.

   docker tag SOURCE-IMAGE LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE:TAG
   

   Sostituisci SOURCE-IMAGE con il nome o l'ID dell'immagine locale e TAG con il tag. Se non specifichi un tag, Docker applica il tag latest predefinito.

   Se l'impostazione dei tag immagine immutabili è attivata, i tag devono essere univoci per ogni versione dell'immagine, incluso il tag latest. Non puoi eseguire il push di un'immagine nel repository se il tag è già utilizzato da un'altra versione della stessa immagine nel repository. Per verificare se l'impostazione è abilitata per il repository, esegui il comando:

   gcloud artifacts repositories describe REPOSITORY \
       --project=PROJECT-ID \
       --location=LOCATION
   

   Per l'immagine di esempio del passaggio precedente, utilizzeresti il seguente comando se l'immagine locale my-image si trova nella directory corrente:

   docker tag my-image u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/test-image
   

   Se vuoi applicare un tag specifico, utilizza il comando:

   docker tag SOURCE-IMAGE LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE:TAG
   

   Per utilizzare il tag staging con l'immagine di esempio, aggiungi :staging al comando:

   docker tag my-image u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/test-image:staging
   

Esegui il push dell'immagine taggata in Artifact Registry

1. Assicurati di aver eseguito l'autenticazione nel repository.

   Se hai utilizzato gcloud auth configure-docker o docker-credential-gcr configure-docker per configurare il client Docker, verifica che il nome host di destinazione sia presente nel file di configurazione Docker.

2. Esegui il push dell'immagine taggata con il comando:

   docker push LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE
   

   Questo comando esegue il push dell'immagine con il tag latest. Se vuoi eseguire il push di un'immagine con un tag diverso, utilizza il comando:

   docker push LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE:TAG
   

Quando esegui il push di un'immagine, questa viene archiviata nel repository specificato.

Dopo aver eseguito il push dell'immagine, puoi:

• Vai alla Trusted Cloud console per visualizzare l'immagine.

• Esegui il comando gcloud per visualizzare i tag dell'immagine e il digest generato automaticamente:

  gcloud artifacts docker images list \
  LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE [--include-tags]
  

  L'output di esempio seguente mostra i digest delle immagini troncati, ma il comando restituisce sempre il digest completo dell'immagine.

   IMAGE                                                 DIGEST         CREATE_TIME          UPDATE_TIME
    u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/my-image  sha256:85f...  2019-04-10T15:08:45  2019-04-10T15:08:45
    u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/my-image  sha256:238...  2019-04-10T17:23:53  2019-04-10T17:23:53
    u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/my-image  sha256:85f...  2019-04-10T15:08:46  2019-04-10T15:08:46
  

Pull delle immagini con Docker

1. Assicurati di aver eseguito l'autenticazione nel repository.

   Se hai utilizzato gcloud auth configure-docker o docker-credential-gcr configure-docker per configurare il client Docker, verifica che il nome host di destinazione sia presente nel file di configurazione Docker.

2. Per eseguire il pull da un repository, utilizza il comando:

   docker pull LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE:TAG
   

   o

   docker pull LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE@IMAGE-DIGEST
   

   Sostituisci i seguenti valori:

   • LOCATION è la posizione regionale del repository in cui è archiviata l'immagine.
   • PROJECT è l'ID progetto della console Trusted Cloud .
   • PROJECT è l'ID progetto della console Trusted Cloud .
   • REPOSITORY è il nome del repository in cui è archiviata l'immagine.
   • IMAGE è il nome dell'immagine nel repository.
   • TAG è il tag della versione dell'immagine che vuoi estrarre.
   • IMAGE-DIGEST è il valore hash SHA256 dei contenuti dell'immagine. Ogni versione di un'immagine ha un digest univoco. Nella console Trusted Cloud , fai clic sull'immagine specifica per visualizzarne i metadati. Il riepilogo è elencato come Riepilogo immagini.

   Ad esempio, considera un'immagine con le seguenti caratteristiche:

   • Posizione del repository: u-france-east1
   • Nome repository: my-repo
   • ID progetto: my-project
   • Nome dell'immagine: test-image
   • Tag: staging

   Questo comando per eseguire il pull dell'immagine è:

   docker pull u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/test-image:staging
   

Docker scarica l'immagine specificata.

Recupero delle immagini con crictl

crictl è uno strumento a riga di comando utile per gli sviluppatori di runtime CRI per eseguire il debug del runtime senza dover configurare i componenti Kubernetes. Se i nodi Google Kubernetes Engine utilizzano un runtime containerd, puoi estrarre immagini da Artifact Registry utilizzando crictl.

Poiché crictl è principalmente uno strumento per la risoluzione dei problemi, alcuni comandi Docker come il push o il tagging delle immagini non sono disponibili.

Per eseguire il pull di un'immagine da Artifact Registry:

1. Nella console Trusted Cloud , vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Accedi tramite SSH al nodo di cui stai risolvendo i problemi.

3. Ottieni un token di accesso per l'autenticazione con il repository.

   curl -s "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token" -H "Metadata-Flavor: Google"

4. Esegui il pull dell'immagine utilizzando crictl pull --creds e il valore access_token.

   crictl pull --creds "oauth2accesstoken:ACCESS_TOKEN" LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE:TAG

   o

   crictl pull --creds "oauth2accesstoken:ACCESS_TOKEN" LOCATION-docker.s3nsregistry.fr/PROJECT-ID/REPOSITORY/IMAGE@IMAGE-DIGEST

   L'output è simile al seguente:

   Image is up to date for sha256:0f25067aa9c180176967b4b50ed49eed096d43fa8c17be9a5fa9bff05933bee5

Passaggi successivi

• Scopri di più sulla gestione dei tag e sull'eliminazione delle immagini.
• Se vuoi eseguire container su Compute Engine, scopri di più sui container su Compute Engine.
• Utilizza crictl per eseguire il debug dei nodi Kubernetes
• Scopri come utilizzare crictl per eseguire il pull delle immagini dai repository privati di Artifact Registry
• Scopri di più sulla configurazione dei crictl registri delle immagini